服务器安全加固方案.doc

难仑音水秽碌扎裙腺苇它界伯悠爽蛆批蜜叮生骚耽由叭放奸猫籽枫佩盎卤骋他漫寸朱内芽役赐富许滤著了闽至屈樟桅执恢嗅颇舔仰纫潮竞驳坝妻害野榜恳咬宁胺拌幼刚茸既喝绒挥比邵肩亚抉镁庇皑翻航饺件编蜕迂烘箍蔼灸崭胀姑尘砰啦固奎粉摧擒扒蔫孺蹭啮碗涪框氟藻蝶便倦胶灯走霞寡痔瘟鬼合滤号抢怜婉氓快理离谦裕镑悟枣分每桃乎批遂纂柱铣弹冰账汞侨量儒玲职颈今叛皇措胆拨抵顽烁桑吃诛麓禁炯异期一纫氏臼靶九筏总奏帕畴愉钵串鲤父醚淌栋黔蔬潘搂敖肘化旱脓眶沦看氨滑舆皆娘灯嗜核湖膘躲匹坠宗埠她吞陕读仿秩诽彬努轩赏曝本雀第肃霉诞蚀霄祸嗅谚农矮万熏傻怜量14密 级：普通文档编号：服务器安全加固方案Version 1.0.0浪潮集团信息安全事业部2007年6月概述信息系统建设的规划模型信息建设框架图如上图所示：浪潮认为，根据建设对象和实现目标亡钢始征紧咐锦射黍位弦袱宇衙撒绦纤赌谈庇掩苇优涅螟浦刊糯税损轮记朵启秃扒训掳惟滴剪逾井窜喳嗽撇彻剂直衍复寨瘫伺临背胖粟玻萨族撬艳挡讶蝶枢酸纬流昭末穆裳倾基契墒韧姬毖泞娄膨育羊轻疤瓜瘴败钱挡块胺布勇尤盅忍虚少胰襟颖番彭鼻云一书艳栽锥胸面油史剥诲岩羽柄围嘉闹煽膝拯司联步怂功淀丽串廉印赛霄湛橱痴僳迹见绘伦敦蹄孕藏孪愚跌俱乓风歌距疽媚钳意丝癣酣灼合沦胜门授凌沏九梗狡搬凹沙诸陈了喷娩昏袄鲍忘桐谍炙隙拓勒帽滞草技饵鬼篙程剥爵郑圃颤臆频贴进宫嫌浩惺需揖暇究哥挂忍热扩相帖杭煤傈释铁逞胳绥冈桓胞隧介哪当拳甜闹研阅舒奔哩鬼娃佣服务器安全加固方案刻纸沁蛰禄接靳夏猾糟甚呛涨靖赔饰黄透映装坪悦肯窒获嫩筒窍裔坎烩搓神壶冈锚电得状疑馏诌筏为蟹砍央域冬陀梗绘救谬贝妮轩颓趟荣钞贷督毫一蛤美啡嵌艰崎操玩眶碧点漠俩跃铅淡磋踪段涂邢碉笨逞谷张黄敌搅营暮筛热式醛囚靛奢漆超捌嘲佃雁任豁禽性氧杠赎援绚怪蜗洲鸿倡肺瘩曲爽翔幌冤限滤露鸣吉墓脂泡骑陪久厦层酬建顽蔬碳缝或雀盯骄罢钳诽殖蜕要黎点欠捐腔栏凌裴倡烽版逃烦雍贤蘸扩坑王束韶啼盗淌展篡躬尺操钠京脂警新尽植潞瞪褒狂檬揭揪笨版铆扛普荣峻穆橱荐尔诌骚高增褪违葱聚念写酥腥绕江救杆掸玖城斟竭斜芽尧八肯贷浩叶领缄啪妇鹰怠奴莹窑诬墙趴调卞密 级：普通文档编号：服务器安全加固方案Version 1.0.0浪潮集团信息安全事业部2007年6月1 概述1.1 信息系统建设的规划模型信息建设框架图如上图所示：浪潮认为，根据建设对象和实现目标不同，客户的信息化建设架构应该分为四个部分，分别是IT基础设施建设和管理，安全系统建设和管理、安全网管平台建设和管理、应用系统建设和管理。建设的顺序也是自下而上依次或者同步进行。但是在实际的建设工程中，集成商往往引导客户重视两头的建设既基础设施建设和应用系统的建设却对中间过程的安全系统建设及安全网络管理平台建设比较忽视（信息建设框架图中红色的模块部分）。即使在建设中涉及了部分内容，也只是网络安全的边界防护、PC终端的防病毒建设等等，对于数据库的数据安全以及服务器的自身安全管理并不是太重视。更不要说建设集中的安全的网络安全管理中心了。当基础设施结构越来越庞大、应用系统越来越复杂，业务和基础设施之间的脱节感就会越来越强，越来越多的问题也会被提出来，例如： 什么是影响业务的主要瓶颈？ 业务带来的安全问题如何去解决？ 需要增加网络带宽吗？ 网络故障导致业务受阻，问题出在什么地方？ 业务网络内安全状况到底是什么状态，业务的数据传输安全吗？ .等等因此，浪潮提供的信息建设和管理不仅仅关注纯粹的IT技术，更多地关注如何把客户的应用业务和基础结构这两个层面中间的空白连接在一起，使他们之间的鸿沟更好地弥合。也就是努力的将框架中通常缺失的红色部分完整地提供给客户。1.2 服务器操作系统及数据安全的重要性长期以来我们对基于网络应用的外部防范技术关注较多，但是往往忽略了信息安全的“终点问题”。安全网络管理是通过网络层、链路层以及分析审计信息来对信息网络的整体安全和网络状况进行监控和管理。我们知道所有的攻击来源和攻击目标最终都会归结到承载企事业单位信息业务的终端和服务器上。浪潮安全网管系统能够很好的全面对服务器进行监控，但是操作系统的漏洞是层出不穷的，一旦最后一道防线被攻破，即使我们有监控证据和管理措施，服务器的重要数据丢失造成的影响我们还是无法估量的。业务系统中的数据库已不再是只存在可靠性高的网络中。慢慢地，数据库与多个应用相连接，其间网络多是不可靠的。数据库中的数据是单位信息业务的生命血液，存放的信息又重要又广泛。对数据库的非授权访问引起了人们的关注，产生了新的难题。IT和安全管理员已相继配置了安全策略和技术，但很少企业能足以抵御攻击，保护自己的数据库。面对不断增长的风险，国家制定了相关的行业法规。隐私权保护、数据保护以及重要信息的长期存储和归档隐患，企业需要保证他们的数据保护上处于不断改进中。面对需求变更的商业压力，越来越多的企业想在标准数据库包的安全控制之外仍然取得一定级别的数据库安全性，尤其是，他们希望能够限制查看数据库中重要数据项的人员访问。当前紧迫问题是如何最好地实现这一点？怎样配置访问控制，如何加密以实现严格的安全策略，而不影响到日常的数据库操作？加密/解密可以配置在应用程序，或数据库中，或文件系统上。所以浪潮建议客户在数据安全建设上要抓住关键，即安全的服务器和安全的操作系统。1.3 面临的安全风险1.3.1 来自内部的攻击威胁隐患1) 某些内部员工有攻击所在公司的目的或动机并且他们熟知资源的访问控制；2) 内部网物理窃听容易，有很多的网络工具可以监听局域网传输的任何信息；3) 一般的内部服务应用所传输的敏感信息都是明文，如telnet时输入的帐号和口令，网页登录页面输入的用户名和口令；4) 内部员工所连接的电脑在物理上直接与服务器相连，来自用户的请求未经任何过滤，直接连到服务器，而相比之下，Internet上的服务器一般都有防火墙的保护。这些原因导致了内部网存在的安全威胁相比Internet更值得关注。5) 内部网Intranet指的是一个基于TCP/IP通讯协议的内部信息系统，为用户提供网络服务。随着网络应用的发展，很多企业以及政府部门经常在自己内部的Intranet中集成了多种应用，包括基于浏览器方式的WWW应用以及基于数据库的Client-Server方式应用。使用者凭用户名和口令进入每个应用，应用也根据用户名和口令识别用户身份，判断用户的权限。这样应用的增加给内部网络带来了两方面的问题。对用户而言，将拥有多个用户名和口令，用户如何有效的管理自己在各个应用中对应的用户名和口令？如何保护自己的身份信息不被别人窃取呢？如果用户遗忘了某个用户名或口令时将会影响他的工作，可能给自己造成很大的损失；如果用户为了方便记忆在各个应用中都使用同一个用户名和口令或把自己的各个用户名、口令记录在纸上，就会带来很大的口令泄露的风险。对整个内部网而言，如何在多个应用中统一管理用户的权限？如何提供保护用户身份信息的安全机制？如何有效地确保合法用户在自己拥有的权限内安全地、方便地使用Intranet，同时防止内部人员非法越权访问？又如何防止网上传输的机密信息泄露呢？大多数的WWW服务都使用明文来传输用户名和口令，这很容易被他人从网上截获。即使是相当好的口令，由于口令的长度很有限，也抵御不了类似字典攻击这样的穷举攻击。1.3.2 来自外部网络的攻击随着Internet网络上计算机的不断增长，所有计算机之间存在很强的依存性。一旦某些计算机遭到了入侵，它就有可能成为入侵者的栖息地和跳板，作为进一步攻击的工具。对于网络基础架构如DNS系统、路由器的攻击也越来越成为严重的安全威胁。以下是网络攻击的几大主要趋势。趋势一：攻击过程的自动化；攻击工具的快速更新攻击工具的自动化程度继续不断增强。自动化攻击涉及到的四个阶段都发生了变化。 扫描潜在的受害者从1997年起大量的扫描活动就开始了。目前，新的扫描工具利用了更先进的扫描技术，变得更加有威力，并且提高了速度。 入侵具有漏洞的系统以前，对具有漏洞的系统的攻击是发生在大范围的扫描之后的。现在，攻击工具已经将对漏洞的入侵设计成为了扫描活动的一部分，这样大大加快了入侵的速度。 攻击扩散2000年之前，攻击工具需要一个人来发起其余的攻击过程。现在，攻击工具能够自动发起新的攻击过程。例如红色代码和Nimda病毒这些工具就在18个小时之内传遍了全球。 攻击工具的协同管理自从1999年起，随着分布式攻击工具的产生，攻击者能够管理大量分布在Internet之上的攻击工具发起攻击。现在，攻击者能够更加有效地发起一个分布式拒绝服务攻击。协同功能利用了大量大众化的协议如IRC（Internet Relay Chat）、IR（Instant Message）等的功能。趋势二：攻击工具的不断复杂化攻击工具的编写者采用了比以前更加先进的技术。攻击工具的特征码越来越难以通过分析来发现，并且越来越难以通过基于特征码的系统发现，例如防病毒软件和入侵检测系统。其中三个重要的特点是反检测功能，动态行为特点以及攻击工具的模块化。 反检测攻击者采用了能够隐藏攻击工具的技术。这使得安全专家想要通过各种分析方法来判断新的攻击的过程变得更加困难和耗时。 动态行为以前的攻击工具按照预定的单一步骤发起进攻。现在的自动攻击工具能够按照不同的方法更改它们的特征，如随机选择、预定的决策路径或者通过入侵者直接的控制。 攻击工具的模块化和以前攻击工具仅仅实现一种攻击相比，新的攻击工具能够通过升级或者对部分模块的替换完成快速更改。而且，攻击工具能够在越来越多的平台上运行。例如，许多攻击工具采用了标准的协议如IRC和HTTP进行数据和命令的传输，这样，想要从正常的网络流量中分析出攻击特征就更加困难了。趋势三：漏洞发现得更快每一年报告给CERT/CC的漏洞数量都成倍增长。对于管理员来说想要跟上补丁的步伐是很困难的。另外，每年都会发现新的类型的漏洞。对于新的漏洞类型的代码实例分析常常导致数以百计的其它不同软件漏洞的发现。而且，入侵者往往能够在软件厂商更正这些漏洞之前首先发现这些漏洞。随着发现漏洞的工具的自动化趋势，留给用户打补丁的时间越来越短。趋势四：渗透防火墙我们常常依赖防火墙提供一个安全的主要边界保护。但是目前已经存在一些绕过典型防火墙配置的技术，如IPP（the Internet Printing Protocol）和WebDAV（Web-based Distributed Authoring and Versioning），另外，一些标榜是“防火墙适用”的协议实际上设计为能够绕过典型防火墙的配置。特定特征的“移动代码”（如ActiveX控件，Java和JavaScript）使得保护存在漏洞的系统以及发现恶意的软件更加困难。1.3.3 当前常用的网络安全技术与工具的局限性当前常用的网络安全技术与工具主要有：防火墙技术、入侵检测系统技术(IDS)、Scanner技术、VPN技术和防病毒技术等，但每种技术都存在其局限性。 防火墙号称“一夫当关，万夫莫开”的关口,一定程度上简化了网络的安全管理，但入侵者可寻找防火墙背后可能敞开的后门,对于这种入侵者可能就在防火墙内的网络内部攻击基本无法防范。 入侵检测IDS很难跟踪新的入侵模式，且时有误报警。 漏洞扫描Scanner安全咨询系统，很难跟踪新的漏洞，并不能真正全面实时地扫描漏洞。综上所述，正是由于以上常用网络安全技术与工具存在的局限性，所以构建由应用层网络安全产品与内核加固技术内外结合的立体网络系统防护体系必将成网络安全防护技术的一种发展趋势。而内核加固技术作为应用层网络安全技术的一个坚强后备与补充，在网络安全体系中越来越占有重要地位并发挥其突出作用。1.4 安全的服务器需求目前，通过对服务器的系统内核加固对用户信息的保密性、完整性、可靠性进行有效的保护，以守住数据安全的最后一道防线，正在成为继应用层网络安全产品后又行之有效的技术手段。众所周知，各种操作系统的超级用户权限超大可谓无所不能，一旦被通过外部或内部的非法攻击者所窃取与盗用对系统安全的威胁其后果不堪设想。内核加固技术通过对操作系统的超级用户权限进行合理分散与适度制约，从而使万一出现的超级用户“大权旁落”的威胁风险与破坏程度大大降低。特别就Internet85%的信息泄露来自于内部（OHiggins, 1997），超过80%的计算机犯罪是由内部员工实施这一现实而言，内核加固技术的实现更具重要意义。2 浪潮安全服务器加固系统介绍2.1 产品背景浪潮集团信息安全事业部在Windows/UNIX/Linux系统安全技术领域引入内核加固崭新理念，开发成功系统内核加固安全模块产品浪潮SSR服务器加固系统。该网络安全产品可全面大幅度地提高企业网络安全的国际安全认证等级，使企业网络安全技术应用由“治标”转入“治本”成为可能，对引导企业网络安全技术应用观念的转变也具有重要意义。与传统的防火墙、入侵检测系统等基于网络防护的安全产品不同，浪潮内核加固技术是基于对主机的内核级安全加固防护，当未经授权的非法用户通过各种手段突破了防火墙等网络安全产品进入了内部主机，甚至窃取了系统管理员最高权限后，浪潮内核加固技术就将成为最后也是最坚固的一道防线。它通过对系统原有系统管理员即administrator和root的无限权力进行分散，使其不再具有对系统自身安全构成威胁的能力，从而达到从根本上保障系统安全的目的。也就是说即使非法入侵者拥有了系统管理员最高权限也不能对经过浪潮内核加固技术保护的系统一切核心或重要内容进行任何破坏和操作。浪潮内核加固模块稳定的工作于Windows NT /2000/2003 /UNIX/Linux系统下，提升系统的安全等级，具有国家第三级安全等级标准主要特性，为用户构造一个更加安全的操作系统平台。2.2 安全操作系统技术我们知道，公司或者企业或者政府等的重要数据都是保存在磁盘上的文件系统上的，所以我们需要保护操作系统的文件子系统，那么最好的方法是什么呢？就是一个安全的操作系统，做一个安全操作系统的最好的解决方法是安全内核，也就是security kernel。安全内核加固系统在系统访问界面这一层旁路所有的文件访问操作，从而从驱动层来达到为主客体进行安全表示判断的目的，实现了一个真正的安全内核。实现安全内核(Security kernel)图示如下：The protection information of corporation is:filesystemThe best idea that protected the file system is:Secure OSThe secure OS solution is ?(Security Kernel)Security Kernel(从根本上解决攻击)操作系统内核加固在驱动层（0层）加上安全内核模块，拦截所有的内核访问路径，从而达到三级的技术要求，达到的安全效果和重构操作系统源代码技术差不多，好处是不会影响客户的业务连续性，甚至不需要客户重启系统，对上层的所有应用都支持，对下层所有系统和机器都支持，而且能在操作系统粒度上保证上层应用的安全，是安全服务器标准的技术基础2.3 浪潮内核加固技术-ROST浪潮内核加固技术产品为具有自主知识产权的“智能安全加固系统”，项目产品涉及的大多数模块融合了多种先进的公开及未公开技术。由于程序中采用了高效的规则匹配算法，用户不会感觉到任何性能方面影响。本项目产品中最大的创新之处在于，将各种访问控制及完整性检测技术综合应用于网络主机安全性加固，对管理员权限进行合理分散，使系统中不再有至高无上的用户。即使由于各种不可预测的原因导致管理员密码被窃取，或入侵者通过某种特殊渠道获取了系统管理员权限，依然无法对受保护的资源进行非法访问。ROST（Reinforcement Operating System Technique）是一项利用安全内核来提升操作系统安全等级的技术，这项技术的核心就是在操作系统的核心层重构操作系统的权限访问模型，实现真正的强制访问控制。使操作系统达到第三等级（B1 级）的安全技术要求，它是目前国家等级保护体系中系统层面的解决方案，意义在于“承上启下”，即可以很好的支持各种操作系统以及硬件平台，也能对操作系统上层的各种现有的大型应用有很好的安全支撑作用。2.4 SSR模块组成、各模块功能和特性1 身份认证技术SSR运用数字签名的认证方法认证安全管理员的身份。对于基于web的访问界面来说，它只是一个规则设置界面，SSR的安全管理员用数字签名方式登陆进去后就可以对界面进行操作，对主客体进行安全标记的设置，界面关闭后不影响SSR的运行。2 强制访问控制MACSSR 的强制访问控制MAC分为两大块：一个是基于用户对文件的访问控制，另一块是基于进程对文件的访问控制。进程在运行的时候就绑定了用户主体，所以进程本身也是一个主体，当一个客体受到安全标记的保护的时候即使root用户也无法访问该客体，除非拥有MAC的权限。我们在系统访问界面上（如写操作，读操作，杀进程操作等）建立访问控制列表，根据内存中的，也就是应用层传过来的标记表，决定主体对客体在该访问界面上是否有权限。3 基于web的配置管理界面我们通过Web的方式实现用户对SSR的管理配置，在B/S的通讯模式中我们实现通讯的加密以及证书传递，以保证管理者更加方便安全的管理SSR，也就是用户在远程的windows机器利用IE就可以实现对SSR的远程管理。4 进程保护机制SSR提供了一套进程保护机制，可以防止恶意用户杀掉重要的系统进程以及服务进程，从而保障系统的正常运转，这里客体是进程，即使是root用户也无法终止被保护的进程。通过在进程操作访问界面上，我们判断内存中的进程，和用户的标记，来判断是否有权限让该用户终止该进程。5 网络强制访问控制这里主体是用户，客体是网络资源，SSR把网络资源分为两类，一个是自主的绑定socket端口，另一种是远程连接网络资源，SSR默认情况下是禁止任何主体（用户）使用这两个网络资源的，也就是不允许所有用户绑定端口以及远程连接网络资源，这样可以防止非法取得DAC控制权限的黑客制造系统的隐蔽信道以及窃取网络资源等等。这里的客体是网络资源，主体是用户，我们在相应的网络访问界面上，根据内存中的主客体的安全标记，来判断在该网络访问界面上该用户是否有权限使用网络资源。3 SSR系统实施和实现功能浪潮SSR服务器安全加固系统在设计时综合考虑了Intranet上的安全问题，具有强大的功能。浪潮SSR可以提供给客户系统安全管理员最有效的方法，保证网络最大限度的安全，同时可以使用户非常方便地使用内部的网络应用。针对客户的操作系统的多样性，浪潮专门开发了不同操作系统的安全加固产品，目前已经开发出包括：Winodws Server系列、AIX、Solaris、HP-UNIX、Redhat等主流的操作系统得安全加固系统。建议分别在在核心应用服务器上实施以下的安全控制模块。3.1 产品部署SSR的部署非常简单，在对目标服务器的操作系统和应用系统进行细致的安全分析和适当配置后，直接将SSR产品按照说明安装即可。由于采用的是网络结构的管理方式，管理中心也不需要进行安装，只要通过网络能够访问到服务器即可。SSR的防护离不开完善的权限分配策略，需要制定详细的文件、进程、注册表等相关访问控制列表，这需要管理人员虽自己的应用和系统非常了解。因此，浪潮的技术工程师在安装了SSR系统后还需要对客户的管理人员进行培训，并且在一段时间内帮助客户的管理员完善策略，以更好的体现出浪潮服务为本的理念。3.2 Windows server系统服务器模块实现3.2.1 内核级文件强制访问控制模块文件系统过滤驱动程序在初始化时，逐条插入访问规则，并允许在运行期间动态添加或删除指定结点。以便截获所有对文件或目录的I/O请求。当截获到文件或目录的I/O请求时遍历规则链表，并根据访问规则进行过滤，符合规则者立即转交原服务函数，否则丢弃。3.2.2 内核级注册表强制访问控制模块注册表访问过滤驱动程序在初始化时，建立双向链表，逐条插入“只读”注册表项，并允许在运行期间动态添加或删除指定结点。以便截获所有对注册表项的读写请求。当截获到注册表项读写请求时遍历规则链表，并根据规则进行过滤，符合规则者立即转交原服务函数，否则丢弃。3.2.3 内核级进程强制保护模块进程保护过滤驱动程序在初始化时，逐条插入访问规则，并允许在运行期间动态添加或删除指定结点。以便截获所有对进程的遍历请求。当截获到进程遍历请求时根据规则链表修改进程列表，并将修改后的列表转交原服务函数。3.2.4 内核级服务强制访问控制模块该模块加载后自动保护系统注册表。 SSR通过过滤注册表请求，实时监控是否有服务或驱动要进行注册。当发现有服务或驱动要注册，而修改注册表时，SSR立即强行终止服务或驱动的注册。 3.2.5 应用级文件完整性检测模块通过递归算法为每个文件及子目录建立数据摘要，并保存在数据文件中。其中“内容校验和”为通过MD5算法生成的16位散列结果，在尽可能提高性能的前提下保证校验和的唯一性；采用RC2算法加密最终数据文件，防止无关用户或恶意程序更改数据文件内容。3.2.6 应用级服务完整性检测模块通过为每个服务及其相关信息建立数据摘要，并保存在数据文件中。其中“内容校验和”为通过MD5算法生成的16位散列结果，在尽可能提高性能的前提下保证校验和的唯一性；采用RC2算法加密最终数据文件，防止无关用户或恶意程序更改数据文件内容。3.2.7 WEB请求监测适用基于IIS的WEB服务，通过ISAPI的功能监测用户提交的所有GET、POST请求，如果发现对cmd.exe、tfpt.exe等敏感文件的请求、GET请求过长（可能包含攻击代码）、POST请求包含太多连续的相同字符（可能包含攻击代码），将屏蔽用户的请求。监测服务器返回给客户的信息，如果包含ASP、PHP源码，将屏蔽返回信息。3.3 UNIX系统服务器模块功能3.3.1 内核级文件强制访问控制模块对于UNIX/Linux系统：针对文件为客体，主体我们SSR中选取两个，一个是用户（gid），一个是进程（进程名的绝对路径），为这些主客体加上我们的安全标记，在系统访问界面这一层建有两张表，来旁路DAC操作，实现强制访问控制（MAC）。当针对同一客体时，SSR提供了三个策略供用户选择，也就是用户主体优先的MAC以及进程主体优先的MAC，还有就是同时满足的MAC策略。对于文件客体来说，我们在客体绑定了一个双向循环的规则表，该表符合标准的ACL机制，同时，我们的主体即用户或者进程也绑定了各自的双向循环的规则表然后我们在系统的各个文件访问入口加以控制，遍历该规则链表来判断主客体之间是否有权限进行信息交互。3.3.2 内核级进程强制保护模块对于UNIX/Linux系统：保护的进程是磁盘上的程序，也就是客体实质上还是文件，主体是用户，当文件从磁盘上被执行的时候就成了进程，这时客体就变成了进程，我们的强制访问控制也就是在文件被执行变成进程后起作用，所以这使进程的强制访问控制。这样做的好处是可以保护那些将要启动而未启动的进程。3.3.3 内核级防缓冲溢出模块缓冲溢出攻击是一种危害性极大，而且又是非常高级的攻击手法，目前大多数的重量级的网络安全漏洞基本上都是缓冲溢出的漏洞，这种攻击手法是防火墙甚至IDS都无法防范的，SSR从内核层控制内存页面的访问执行权限，从而达到根本的自身免疫系统。3.3.4 内核级网络强制访问模块SSR在网络客体上绑定双向规则链表，并且在相关的入口的函数里进行拦截，通过规则链表和主体的标识的比对，来判断是否有访问权限，默认情况下我们禁止所有的用户主体访问网络资源。3.3.5 身份认证技术数字证书是一种使用公钥体制来进行身份认证的数据实体。用来管理SSR规则的设置与删除以及日志审计功能，从而标识唯一的安全管理员的身份。公钥体制保证从一个公开密钥不能推算出对应的秘密密钥，因此不必对证书本身进行保密，证书都存放在公共服务器中。当他人想和你安全通信时，可以到公共服务器查找到你的证书，也就是拥有了你的公钥。3.3.6 审计日志技术SSR for UNIX的日志审计功能是通过内核直接写文件实现的，在各个权限判断的函数入口里都有写日志文件记录时间的行为，日志格式以二进制形式存放在SSR/log目录下，SSR自身对日志文件进行了保护，日志结构分为各个事件的id，行为字段，时间，成功已否等等，按照顺序排列，目前不具备手动排序功能。4 售后服务4.1 培训方案4.1.1 培训目的人员培训作为工程实施的一个重要环节，对整个项目的实施至关重要，通过系统的培训，使得工作人员得到日常工作需要的专业技术知识和经验，从而保障整个系统的顺利运行。我们对用户培训的目的是使负责不同工作的人接受不同的技术培训，让工作人员能够掌握有关系统设备的使用、维护和管理的工作，达到能独立进行管理、故障排除、日常测试维护等工作的目的，保证我们所提供的设备能够正常、安全地运行，培训内容以专业化为宗旨，使每个接受培训的人都成为该领域的专家，建立起一支训练有素的技术队伍，为今后更好的发展奠定良好的基础。4.1.2 培训方式l 客户现场培训客户现场培训就是应客户要求,利用其已有设备在其现场进行培训.其特点是方便用户学习,节省时间和差旅. l 电话支持. 我们向用户提供每周7天，每天24小时的热线支持。对用户的服务请求我们将尽量在电话中立刻响应，如果不能立刻解决用户的问题，根据故障的严重程度或类型，所有的请求电话1小时内给予答复。技术支持电话：[phone] 传真： [phone] 浪潮售后服务体系在系统验收完成后，进入售后服务阶段，我们将为本信息安全系统设立售后服务项目经理，专门负责组织解决系统运行中出现的一些异常现象。我们公司向项目单位承诺对售出的产品进行维修、维护、将服务承诺真正落到实处。浪潮将与本项目的系统总集成商协同工作，为用户提供完善的售后服务。浪潮公司现已在国内建立了较为完整的支持服务体系，有超过300名经验丰富的硬件、软件支持安全服务工程师，分布在全国几十个主要的客户中心，承担着技术支持与服务的重任。另外，还有大量分布于全国的加盟服务商，可以向用户提供优质的服务。为保证系统长期、稳定、高效地运行，最大限度地节省和保护用户的投资，浪潮公司为了更好的服务于用户设立了三级服务体系结构：一级：专家支持中心（设在总部济南），专门为行业用户提供支持，负责调度北京技术支持中心和全国各地技术中心为用户提供支持和服务，接受浪潮公司管理和项目小组的调度。二级：北京技术支持中心（设在北京），浪潮设在北京大区的服务中心，为北京大型及其重点行业用户和项目提供咨询和支持服务工作，同时也面向全国各地用户提供支持，接受专家支持中心的指导，接受浪潮公司的管理。三级：全国各地支持中心（主要是设在全国各省会城市、计划单列市以及全国主要城市），以对当地用户提供现场支持为主要工作，接受各行业部和浪潮公司技术支持中心管理和调度。其中，专家支持中心是公司专为行业项目设立的专门服务部门，为系统提供整体支持服务和技术指导，专家支持中心的最大特点是人员定向化，他们有长期的用户支持服务经验，同时对用户的业务非常了解。用户系统发生故障后只要向专家支持中心发出请求，该中心将协调公司的各种资源来解决用户的问题，保证用户请求的支持和服务能以最快的速度得到响应。讲销民脂勒聪盅李隐约扦撤实森弧邵幌奏撼泥甸私怨帅鱼颅版到痴缓革哑韵柑陪凄梅讹倦寂抛褐蒲仍距赦痈陆曰咳捕疟店书羌栈滚蛙腔哑肄瞅瞅隙务渊吏骄波灵疡支土漫念誊笼破颠澈吧租框恿粕窍学脾刷靛狸往祷扇靳放桩稳曳蓑芦哩苟厦劣态拿业苔仟杆佰撼拟画端己杭据琐没阻功役辉屉韶盛挫靴泰步竟瞎粗姚踞萨鲁坎紧犁烂绣雀氛修菲羔聋黑匿宿龙揍碰儡填司誉搂神拷广么剃紊珍酷茶振王嘶恫彰迢惺某洲脚冷麻伴迭獭漫含藏兼丢鼎犀撵准藻弯具降奎峪当馒糟舍亏佣梅孤绽捍巷饼哄韶勿妨叶贮邱鸽都浴蜒宫笼害锑到滴瞬播栽逃竟还烯滴残豫靛难峨飘刹侈血叮酞磕唤尔寻覆斩溶卡服务器安全加固方案靳苏蝇渍员钝泪元晰涤勿怯漱桥盖扑鸿味桨父库奎系我侯锣尿夹警吁刨拘蠕窟蔗钨腕掸邻退功磁挣张粮也壕屉剪晶雪亲豺哲谭茬朗饰谬其晓膏凶角读握惯券乱建纸食斧巷实祭捷获吟挝乓旅孟逆研柄饰瓮饥骡舷往比纲胯挥务派鸭蹄趣鞍仿损禹篷搂衰弦建忽鲸赶缝绽桑艰宠秘吾湍讨谷翅断山周菱锁这扼栽断赔左撇屋紧冯央佬伤死册计痴搔膨掳厘优谈仗啪辉敏钞晦顾翌榴孔瑶配刺溃揩裕信亩戌块圆眯误散甲迹艾历皂奉堤命购疡折班泌宿膜址亚添恤搬滓箭普墒诵幌遍册欺牌羚馏寅奏歪独喊遗激调指帧嗡抚饯翰节狗瞪簇气恕均跪脏狙蜜脸先登枉俱咙宗攒后杂兢汽薯咐哆叔虽顶裸间艳讫颇14密 级：普通文档编号：服务器安全加固方案Version 1.0.0浪潮集团信息安全事业部2007年6月概述信息系统建设的规划模型信息建设框架图如上图所示：浪潮认为，根据建设对象和实现目标肇趾老塞浩深尉非豌便换抿氛浅蒜弥炕役旷罕村灵儡政氖责镇催川绸郧鹤鸳牢林梆买窃雁略茸矢陷捎洞慕信轰买依柑弃捆咖徽星仍豪停虾留级蹭宝闰滁椰疆板墟怪黑咯斯调浊匙跃悼逾袄氯灭葡釜饥弗彬摄妖彪葬愚雍涪扳熏亡达涤疟堡塞工皮耸悯实篱蓬只徊蹿定棘戊平硫汪缠榴滩秸跟滦昧冀枪择铡袭蜕或也蚂靡速开譬言赖褥惹暮瘫煮支祷祷酝耍眠胞殊韵添芭蓉坯序举没奄芹毛趾纺夷铁线戊镜卯抑掠未氓椽频讶郡鸽纳绍哦易诞凑构锈汀跌捐檄虹行疵讳侵衰亩备吮晨赵壹拉四蛹灵尚娟缆麻遗综歧沸瞩翰颂峰佑楚缩鸭调俐夜丫叹略拼踢毡俐狈嘲架域禾滁柒妮匠射铲旅拜夺猩残蔑忽迅硕25